Jak napisać regulamin AI dla personelu szpitala lub przychodni?

Tak, każda placówka medyczna powinna mieć regulamin AI dla personelu zanim pracownicy zaczną używać narzędzi sztucznej inteligencji w codziennej pracy. Nie dlatego, że jakiś konkretny przepis tego wymaga pod tą dokładną nazwą, ale dlatego, że bez takiego dokumentu część personelu wkleja dane pacjentów do bezpłatnych chatbotów, część używa zatwierdzonego narzędzia szpitalnego, a część nie wie, że może korzystać z AI w ogóle. Regulamin wyznacza granice, daje pracownikom pewność działania i chroni placówkę przed konsekwencjami, gdy coś pójdzie nie tak.

Dlaczego brak regulaminu to realne ryzyko, nie tylko formalność

W praktyce wygląda to tak: ktoś ze szpitala wpada na pomysł, żeby użyć ChatGPT do napisania pisma do NFZ. Wkleja fragmenty historii choroby, żeby dać kontekst. AI pisze pismo, problem rozwiązany. Nikt mu nie powiedział, że nie wolno, bo nie ma żadnego dokumentu, który by to regulował. Tymczasem dane pacjenta trafiły na serwery zagranicznej firmy bez wymaganej podstawy prawnej.

To nie jest scenariusz z przyszłości. Dzieje się to we wszystkich placówkach, gdzie AI jest publicznie dostępne i bezpłatne. Ryzyko jest trojakie:

• RODO: przetwarzanie danych pacjentów przez niezatwierdzonego procesora to naruszenie, które może skończyć się postępowaniem przed Urzędem Ochrony Danych Osobowych.
• Odpowiedzialność za błąd AI: jeżeli AI popełni błąd w tłumaczeniu dokumentu, propozycji kodu ICD-10 albo treści pisma, a personel zastosuje wynik bez weryfikacji, odpowiedzialność spoczywa na placówce tak samo jak przy błędzie własnego pracownika.
• Chaos organizacyjny: bez regulaminu nie da się przeprowadzić spójnego szkolenia ani rozliczyć kogoś ze złego użycia narzędzia, bo "nikt nie powiedział, że tak nie można".

UODO przy kontrolach pyta coraz częściej o to, jakie zasady ma placówka dla narzędzi AI. Brak odpowiedzi nie jest dobrym punktem wyjścia do tłumaczenia się po incydencie.

Co musi znaleźć się w regulaminie, a co warto dodać

Dobry regulamin AI dla personelu nie musi być wielostronicowym dokumentem prawnym. Najlepiej działa, gdy jest krótki, konkretny i napisany tak, żeby rozumiała go pielęgniarka, rejestratorka i lekarz, a nie tylko prawnik.

Elementy, bez których regulamin nie ma sensu:

• Lista zatwierdzonych narzędzi AI z nazwami i zakresem użycia. Przykład: "System X: dopuszczony do generowania korespondencji zewnętrznej i tworzenia protokołów; zakaz wklejania danych osobowych pacjentów". Narzędzia niezatwierdzone, w tym bezpłatne wersje publicznych chatbotów, wymagają odrębnej zgody przełożonego albo są wprost wyłączone.
• Zakres danych, które można przesyłać do AI. Trzeba jasno odróżnić: dane zanonimizowane (wiek, płeć, ogólne rozpoznanie) od danych identyfikujących pacjenta (PESEL, imię i nazwisko, numer historii choroby, adres). Dane identyfikujące trafiają wyłącznie do narzędzi objętych umową powierzenia przetwarzania danych.
• Role i uprawnienia. Nie każdy pracownik potrzebuje dostępu do wszystkich funkcji. Lekarz może generować propozycje dokumentacji, rejestratorka może korzystać z bota do odpowiedzi na pytania ogólne, ale nie musi mieć dostępu do modułów klinicznych.
• Obowiązek weryfikacji wyniku AI. Każdy wynik trafiający do dokumentacji medycznej, decyzji klinicznej albo pisma urzędowego musi być sprawdzony przez człowieka. Regulamin powinien to powiedzieć wprost i wskazać, kto odpowiada za weryfikację w konkretnym przypadku.
• Procedura zgłaszania problemów. Co zrobić, gdy AI da wyraźnie błędny wynik, gdy pojawi się podejrzenie wycieku danych lub gdy pracownik nie wie, czy dane zastosowanie jest dopuszczalne.

Warto dopisać jeden akapit o zakazie podejmowania autonomicznych decyzji o pacjencie przez AI, czyli bez udziału i weryfikacji przez człowieka. To wymaganie AI Act dla systemów wspomagających diagnostykę i zarządzanie leczeniem, które trafiają do kategorii wysokiego ryzyka.

Regulamin a umowy z dostawcami: co sprawdzić przy okazji

Regulamin wewnętrzny to jedna strona układanki. Druga to umowy z dostawcami narzędzi AI, które placówka już ma albo dopiero planuje podpisać. Zanim regulamin trafi do personelu, warto zebrać wszystkie obowiązujące umowy i sprawdzić cztery rzeczy:

• Czy jest podpisana umowa powierzenia przetwarzania danych, wymagana przy każdym procesowaniu danych pacjentów przez podmiot zewnętrzny.
• Czy umowa zawiera zapis, że dane pacjentów nie są używane do trenowania modelu AI dostawcy.
• Gdzie fizycznie są przechowywane dane: serwer w UE czy poza granicami Unii.
• Czy dostawca ma certyfikat bezpieczeństwa, np. ISO/IEC 27001 albo równoważny.

Jeżeli któraś z tych odpowiedzi brzmi "nie wiem", regulamin powinien tymczasowo wykluczać użycie takiego narzędzia do danych pacjentów. Przy jednej z placówek, z którymi pracowaliśmy, okazało się, że trzy różne działy używały trzech różnych narzędzi AI, a tylko jedno miało podpisaną umowę powierzenia. Regulamin AI stał się pretekstem, żeby uporządkować całość w ciągu dwóch tygodni.

Kto podpisuje regulamin i jak go egzekwować

Najprostsze podejście: regulamin AI wchodzi jako aneks do umowy o pracę albo jako załącznik do regulaminu pracy. Każdy pracownik, który ma dostęp do narzędzi AI, podpisuje, że zapoznał się z zasadami i je akceptuje.

Kilka uwag praktycznych:

• Dostęp do narzędzia AI powinien być otwierany dopiero po podpisaniu regulaminu i przejściu szkolenia, nie odwrotnie.
• Personel kontraktowy, lekarze na B2B i agencje pielęgniarskie, powinien być objęty regulaminem przez zapis w umowie kontraktowej albo jako warunek nadania dostępu do systemów placówki.
• Naruszenie regulaminu powinno mieć jasne konsekwencje: od upomnienia, przez cofnięcie dostępu, po procedurę dyscyplinarną. Nie jako straszak, ale jako czytelna reguła gry.

Egzekwowanie ułatwiają logi dostępów: kto, kiedy i z jakim narzędziem pracował. To nie inwigilacja pracowników, to standardowy log systemowy, którego UODO zażąda przy każdym postępowaniu wyjaśniającym dotyczącym naruszenia danych.

Jak regulamin AI łączy się z RODO i AI Act

Regulamin AI nie zastępuje polityki bezpieczeństwa danych ani Systemu Zarządzania Bezpieczeństwem Informacji, ale z nimi współgra. Inspektor Ochrony Danych powinien uczestniczyć w tworzeniu regulaminu od początku, a gotowy dokument powinien trafić do rejestru czynności przetwarzania jako nowa pozycja: "przetwarzanie danych z użyciem systemów AI".

AI Act obowiązuje już w pełnym zakresie dla systemów wysokiego ryzyka. Placówki medyczne są w nim traktowane jako "deployers", czyli podmioty wdrażające systemy AI u siebie. Dla systemów wspomagających diagnostykę i decyzje kliniczne wymagania obejmują:

• Ocenę ryzyka przed uruchomieniem systemu.
• Zapewnienie nadzoru człowieka nad decyzjami podpowiadanymi przez AI.
• Udokumentowane szkolenie personelu korzystającego z systemu.
• Prowadzenie dokumentacji użytkowania, w tym logów i incydentów.

Regulamin AI dla personelu to najszybszy sposób, żeby część tych wymagań mieć wypełnioną od razu. Szkolenie potwierdzone podpisem, obowiązek weryfikacji przez człowieka i procedura zgłaszania problemów to jednocześnie zapisy regulaminu i punkty z listy kontrolnej AI Act. Narzędzia czysto administracyjne, jak generowanie korespondencji czy odpowiedzi na pytania ogólne, zazwyczaj nie trafiają do kategorii wysokiego ryzyka, ale regulamin i tak powinien je obejmować ze względu na RODO.

Od czego zacząć pisanie regulaminu w swojej placówce

Nie zaczynaj od pisania dokumentu. Zaczynaj od inwentaryzacji.

Krok 1: lista narzędzi, które personel już używa. Oficjalnie i nieoficjalnie. Pytaj bezpośrednio ordynatorów, pielęgniarki oddziałowe, rejestrację, księgowość, kadry. Wyniki potrafią zaskoczyć. Przy jednej z takich rozmów wyszło na jaw, że kilka osób korzystało z bezpłatnego narzędzia do transkrypcji nagrań, które domyślnie przesyłało dane na serwery poza UE, bez wiedzy kierownictwa ani IOD.

Krok 2: klasyfikacja narzędzi. Podziel zebraną listę na trzy grupy: zatwierdzone, do sprawdzenia, niedopuszczone. Dla grupy "do sprawdzenia" zbierz dokumentację od dostawcy i skonsultuj z IOD przed podjęciem decyzji.

Krok 3: pisanie regulaminu na podstawie tej listy. Nie szablonu pobranego z internetu, tylko dokumentu, w którym każdy punkt odnosi się do konkretnych systemów działających w placówce. Szablon może pomóc w strukturze, ale musi zostać wypełniony rzeczywistymi nazwami i zakresami.

Krok 4: szkolenie i podpisanie. Krótkie, 30 do 45 minut, z konkretnymi przykładami: co wolno, czego nie, co zrobić gdy coś pójdzie nie tak. Szkolenie dokumentujesz listem obecności albo potwierdzeniem w systemie, bo tego wymaga AI Act dla systemów wysokiego ryzyka.

Krok 5: harmonogram przeglądów. Rynek AI zmienia się co kilka miesięcy. Regulamin napisany rok temu może nie obejmować narzędzi, które są teraz w codziennym użyciu. Przegląd co pół roku lub przy każdym wdrożeniu nowego narzędzia to rozsądny rytm.

Jeżeli nie wiesz, od czego zacząć inwentaryzacji albo chcesz sprawdzić, które z posiadanych narzędzi mają poprawnie podpisane umowy powierzenia, umów się na bezpłatny audyt z naszym zespołem. Możesz też zobaczyć, jak wyglądało to u innych placówek, w naszych realnych wdrożeniach.